Nubank pode ter exposto CPFs até de quem não tem conta na fintech

Uma falha de segurança no Nubank pode estar expondo o CPF de quem possui conta em outros bancos que já transferiram ou receberam dinheiro para clientes do roxinho via PIX. O alerta foi feito em uma reportagem da agência de notícias The Intercept publicada nesta quarta-feira, 24.

Segundo a publicação, os dados podem ser acessados no próprio aplicativo do Nubank. Neste caso, ao selecionar a opção de transferência do PIX, é exibida uma lista com os contatos que já receberam pela conta do roxinho, ou para os quais o usuário já realizou transferências anteriormente. Quando o cliente clica em um desses contatos, aparecem na tela todos os dados bancários da pessoa, além do CPF.

Contudo, a falha só é observada quando a conta é de outras instituições financeiras. Ao selecionar um cliente da conta digital do Nubank, a informação aparece borrada. Segundo o documento de Segurança emitido pelo Banco Central, que criou o PIX, o CPF dos destinatários da transação devem ser ocultados.

“A seleção da chave deve retornar os dados do usuário recebedor para conferência: nome completo, CPF mascarado (ex: ***.777.888-**)/CNPJ, além de valor e opção de cancelar a transação antes da confirmação do pagamento”, diz o texto.

Além de ir contra as normas de segurança estabelecidas pelo Banco Central, a falha do Nubank também fere a Lei Geral de Proteção de Dados (LGPD), que determina que instituições públicas ou privadas só podem armazenar dados de usuários mediante seu consentimento.

O problema deixa usuários vulneráveis à golpes e fraudes. Isso porque criminosos podem usar o CPF para acessar outros dados pessoais como endereço e telefone, e com tais informações, podem abrir contas em bancos, contratar cartões de crédito e empréstimos e adquirir linhas telefônicas ilegalmente, entre outros perigos.

Em nota, o Nubank esclareceu que segue as normas do Banco Central, e negou que a divulgação dos CPFs seja uma falha de segurança. Segundo a empresa, na verdade, trata-se de uma “segurança adicional aos clientes, pois permite que eles possam enviar recursos facilmente para contas com as quais transacionaram anteriormente, reduzindo o risco de erro na digitação manual dos dados ou pelo envio da chave que mudou de titularidade”.